PT-2026-133685
CVE-2026-55551
·
تاريخ النشر
2026-10-30
·
تاريخ التحديث
2026-10-30
الوصف من
CVSS 3.1
6.5
متوسطةالمقاييسAV:N/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:N
اسم البرنامج المصاب والإصدارات المتأثرة
ZAC الإصدارات السابقة لـ 5.2.0
Description
يوجد تجاوز لصلاحيات التفويض في نقاط نهاية القراءة حسب المعرف (by-id) ضمن
src/main/kotlin/nl/info/zac/app/zaak/ZaakRestService.kt بسبب إغفال التحقق من assertPolicy(policyService.readZaakRechten(zaak).lezen). بينما يقوم RequestAuthorizationFilter و hasAnyApplicationRole بالتحقق من دور عام في التطبيق، إلا أنهما لا يتحققان من نوع الحالة المحددة، ولا يتم استدعاء سياسة zaak-rechten.rego لفرض حدود zaaktype allowed. نتيجة لذلك، يمكن لمستخدم بلدي مصرح له بصلاحيات منخفضة، ويعرف معرف UUID للحالة أو القرار، الوصول إلى بيانات غير مصرح بها عبر نقاط النهاية التالية:- '/rest/zaken/besluit/zaakUuid/{uuid}' باستخدام
listBesluitenForZaakUUIDلقراءة القرارات والأنواع والتواريخ و toelichting النص الحر. - '/rest/zaken/besluit/{uuid}/historie' باستخدام
listBesluitHistorieلقراءة قيم التدقيق القديمة والجديدة. - '/rest/zaken/{uuid}/process-diagram' باستخدام
downloadProcessDiagramلقراءة حالة سير عمل BPMN. - 'zaak/{uuid}/afzender' باستخدام
listAfzendersVoorZaakللكشف عن تكوين صندوق بريد zaaktype.
Recommendations
تحديث ZAC إلى الإصدار 5.2.0.
قابلية الاستغلال
استغلال
إصلاح
التأثيرات
الباحثون
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾